نسخه جعلی ChatGPT و Claude در گوگل به بدافزاری برای استخراج رمزارز مجهز است که با روش DLL Sideloading امنیت ویندوز را دور می‌زند.

پژوهشگران امنیت سایبری از انتشار بدافزاری خبر داده‌اند که با استفاده از صفحات جعلی دانلود ChatGPT و کلود (Claude) در نتایج گوگل، کامپیوتر کاربران ویندوزی را آلوده می‌کند. این بدافزار در کنار فایل نصب رسمی و دارای امضای دیجیتال پنهان می‌شود و با سوءاستفاده از سازوکار ویندوز، بدون نمایش هشدار امنیتی آشکار اجرا خواهد شد.

نسخه جعلی ChatGPT چگونه به ویندوز نفوذ می‌کند؟

پژوهشگران شرکت امنیت سایبری Check Point Research یک کمپین بدافزاری را شناسایی کرده‌اند که در آن مهاجمان با ایجاد صفحات تقلبی در گیت‌هاب، کاربران را به دانلود نسخه‌های آلوده نرم‌افزارهای هوش مصنوعی ترغیب می‌کنند. این صفحات حتی در جایگاه‌های بالای نتایج جست‌وجوی گوگل ظاهر می‌شوند و ممکن است در نگاه نخست کاملاً معتبر به نظر برسند.

ChatGPT

فایل‌های منتشرشده معمولاً در قالب یک آرشیو ZIP در اختیار کاربران قرار می‌گیرند. این فایل فشرده شامل دو بخش اصلی است: نخست، نصب‌کننده واقعی و دارای امضای دیجیتال متعلق به شرکت OpenAI یا Anthropic و دوم، یک فایل مخرب با نام winmm.dll.

خطر اصلی زمانی ایجاد می‌شود که کاربر نصب‌کننده معتبر را اجرا می‌کند. در این شرایط، ویندوز کتابخانه مخرب DLL را نیز از همان مسیر بارگذاری می‌کند و در نتیجه کد آلوده در کنار یک برنامه معتبر اجرا می‌شود.

مهاجمان برای این کار از روشی به نام DLL Sideloading استفاده می‌کنند. در این شیوه، فایل اجرایی یک نرم‌افزار معتبر برای بارگذاری کتابخانه مخرب به کار گرفته می‌شود. به همین دلیل، وجود امضای دیجیتال معتبر روی فایل نصب لزوماً مانع اجرای کد مخرب نخواهد شد.

بدافزار چگونه فعالیت خود را از ابزارهای امنیتی مخفی می‌کند؟

بررسی‌های شرکت Gridinsoft نشان می‌دهد که این بدافزار پس از اجرا، ابتدا تلاش می‌کند کاربر را به اعطای دسترسی مدیر سیستم یا Administrator متقاعد کند. سپس فایل‌های موردنیاز خود را به‌صورت مخفیانه در مسیرهای سیستمی ویندوز مستقر می‌کند.

یکی از بخش‌های جالب این حمله، روش ارتباط بدافزار با مهاجمان است. به‌جای استفاده از سرورهای اختصاصی و مشکوک، بدافزار تصویر پروفایل یک کانال تلگرامی را بررسی می‌کند و از طریق درخواست به رکوردهای DNS گوگل، اطلاعات و دستورهای موردنیاز خود را دریافت می‌کند.

استفاده از سرویس‌های شناخته‌شده اینترنتی برای تبادل اطلاعات مخرب، تشخیص ارتباطات مشکوک را دشوارتر می‌کند؛ زیرا ترافیک ایجادشده ممکن است در میان درخواست‌های عادی شبکه پنهان بماند.

هدف بدافزار جدید؛ استخراج مخفیانه رمزارز از کامپیوتر

محموله اصلی این بدافزار یک استخراج‌کننده رمزارز یا Cryptominer است. این ابزار بدون اطلاع کاربر از توان پردازشی کامپیوتر برای استخراج رمزارز استفاده می‌کند و می‌تواند باعث افزایش مصرف پردازنده، بالا رفتن دمای سیستم و کاهش محسوس عملکرد ویندوز شود.

بااین‌حال، مهاجمان برای جلوگیری از شناسایی فعالیت مخرب، سازوکاری غیرمعمول در بدافزار قرار داده‌اند. هر زمان کاربر ماوس را حرکت می‌دهد، فرایند استخراج رمزارز متوقف می‌شود. به این ترتیب، هنگام استفاده عادی از کامپیوتر، احتمال مشاهده افزایش غیرطبیعی مصرف منابع سیستم کاهش پیدا می‌کند.

تحلیل کدهای این بدافزار همچنین نشان می‌دهد که مهاجمان محدودیت‌های منطقه‌ای مشخصی در آن اعمال کرده‌اند. این نسخه، سیستم‌هایی با چیدمان صفحه‌کلید روسی و برخی کشورهای همسایه را نادیده می‌گیرد و اوکراین را به‌عنوان هدف منطقه‌ای خود در نظر گرفته است.

یاش کاداکیا، مدیر ارشد فناوری شرکت Security Brigade، نیز درباره این تهدید هشدار داده و تأکید کرده است که داشتن امضای دیجیتال معتبر به‌تنهایی نمی‌تواند امنیت یک نرم‌افزار را تضمین کند.

سابقه حمله به کاربران ابزارهای هوش مصنوعی

این نخستین‌بار نیست که مهاجمان از محبوبیت ابزارهای هوش مصنوعی برای انتشار بدافزار استفاده می‌کنند. نسخه‌های قبلی این ابزار مخرب در ژوئن ۲۰۲۶ (خرداد و تیر ۱۴۰۵) توسعه‌دهندگان نرم‌افزار را هدف قرار داده بودند.

در آن حملات، بدافزار در قالب نسخه جعلی ابزار برنامه‌نویسی هوش مصنوعی Cursor منتشر می‌شد. این موضوع نشان می‌دهد که مهاجمان به‌جای تمرکز بر یک نرم‌افزار خاص، از نام ابزارهای پرطرفدار برای افزایش احتمال دانلود فایل‌های آلوده استفاده می‌کنند.

از سوی دیگر، قابلیت اجرای دستورهای دریافتی از راه دور، خطر این بدافزار را به استخراج رمزارز محدود نمی‌کند. مهاجمان می‌توانند در نسخه‌های بعدی از همین زیرساخت برای نصب بدافزارهای دیگر، ازجمله ابزارهای سرقت رمز عبور و اطلاعات حساس کاربران، استفاده کنند.

چگونه از دانلود نسخه جعلی ChatGPT و Claude جلوگیری کنیم؟

مهم‌ترین راه مقابله با این حمله، دریافت نرم‌افزارها از منابع رسمی است. قرارگرفتن یک صفحه در رتبه‌های بالای گوگل یا انتشار فایل در گیت‌هاب، به‌تنهایی اعتبار و امنیت آن را اثبات نمی‌کند.

برای محافظت از کامپیوتر ویندوزی خود، نکات زیر را رعایت کنید:

  • دانلود از منابع رسمی: نسخه دسکتاپ ChatGPT و Claude را فقط از وب‌سایت رسمی توسعه‌دهندگان یا فروشگاه Microsoft Store دریافت کنید.

  • بررسی آدرس صفحات: پیش از دانلود، دامنه وب‌سایت و اعتبار ناشر را بررسی کنید و به لینک‌های تبلیغاتی یا صفحات ناشناس اعتماد نکنید.

  • بررسی فایل‌های فشرده: از اجرای فایل‌های ناشناس داخل آرشیوهای ZIP خودداری کنید؛ به‌خصوص اگر همراه نصب‌کننده اصلی، فایل‌های DLL ناشناخته وجود دارد.

  • اتکا نکردن به امضای دیجیتال: معتبر بودن امضای دیجیتال یک فایل اجرایی به معنای سالم بودن تمام فایل‌هایی نیست که هنگام اجرای آن بارگذاری می‌شوند.

  • استفاده از ابزار امنیتی معتبر: سیستم‌عامل و آنتی‌ویروس خود را به‌روز نگه دارید و فایل‌های دانلودشده مشکوک را پیش از اجرا بررسی کنید.

اگر نصب‌کننده مشکوکی را اجرا کرده‌اید، بهتر است ابتدا ارتباط سیستم با اینترنت را قطع کنید تا احتمال ادامه ارتباط بدافزار با زیرساخت مهاجمان کاهش یابد. سپس با استفاده از یک ابزار امنیتی معتبر، اسکن کامل سیستم را انجام دهید و در صورت شناسایی آلودگی، برای پاک‌سازی و بررسی احتمال سرقت اطلاعات اقدام کنید.